L’IA vient de révéler une faille qui menace Internet

Une faille dans la plomberie du Web

PHP2Shell n’est pas une énième vulnérabilité dans un plugin WordPress, un thème ou une application web isolée. Il s’agit de deux failles dans PHP lui-même, c’est-à-dire dans l’environnement d’exécution qui traite les requêtes avant même qu’une grande partie du code applicatif ne s’exécute. Le 21 octobre 2026, l’équipe PHP a publié PHP 8.5.12, 8.4.27, 8.3.36 et 8.2.35, en présentant ces versions comme des correctifs de sécurité pour deux vulnérabilités critiques, CVE-2026-109618 et CVE-2026-109619, pouvant permettre une exécution de code à distance sans authentification [1].

L’expression est lourde de sens. “Sans authentification” signifie qu’un attaquant n’a pas besoin d’un compte, d’un mot de passe ou d’une session volée. “Exécution de code à distance” signifie qu’il peut potentiellement forcer le serveur à exécuter du code qu’il contrôle. La FAQ d’urgence de Tenable classe ces deux vulnérabilités comme des failles d’exécution de code à distance dans PHP, avec un score CVSSv4 de 9,2, soit le niveau critique qui déclenche normalement des opérations de correction immédiates [6].

Le nom PHP2Shell résume bien l’inquiétude: faire passer une requête PHP jusqu’à un contrôle de type shell. Cloudflare indique que les failles touchent les serveurs web exécutant PHP 5.4 ou une version ultérieure, et qu’elles peuvent permettre un déni de service, une exposition de données et une exécution de code à distance lorsqu’une application traite un trafic HTTP spécialement conçu [4]. Le communiqué PHP, lui, se concentre sur les versions prises en charge et affirme que la mise à jour est le seul choix sûr [1].

Pourquoi l’IA est au cœur de l’affaire

L’histoire ne se limite pas à la présence de graves bogues de sécurité mémoire dans PHP. Le point décisif est la façon dont ils ont été trouvés, affinés, puis susceptibles d’être adaptés très vite par des acteurs offensifs.

OpenAI explique que Calif a identifié une faille critique dans PHP à l’aide de GPT-5.6 Sol dans le cadre de l’initiative Patch the Planet, tandis que Wiz a découvert et signalé indépendamment les deux vulnérabilités [2]. Wiz indique avoir utilisé Wiz Atlas, Gemini 4 Argon et GPT-5.6 Sol au cours de ses recherches, et estime que l’IA a contribué à faire passer l’analyse de corruption mémoire d’un travail rare, lent et très spécialisé à une démarche plus rapide et reproductible [3].

Ce point est essentiel, car PHP2Shell n’est pas une faille triviale du type “copier un paramètre dans une commande système”. Wiz décrit des problèmes de sûreté mémoire liés à la manière dont PHP gère les erreurs fatales pendant le traitement des requêtes, notamment les conditions de mémoire insuffisante qui peuvent laisser derrière elles un état interne corrompu ou obsolète [3]. En clair, le moteur PHP peut trébucher, ne pas nettoyer correctement certains éléments, puis laisser une requête ultérieure interagir avec ces restes.

Avant l’IA générative moderne, adapter un tel exploit à différentes versions de PHP, interfaces serveur, configurations mémoire et applications demandait une expertise rare. Wiz avertit que les LLM peuvent aider à analyser les échecs, comprendre les plantages, ajuster les chaînes d’exploitation et les adapter à plusieurs environnements, ce qui réduit le coût de passage d’une faille complexe à une attaque utilisable [3]. Les mêmes capacités qui aident les défenseurs à découvrir des failles enfouies peuvent aussi aider les attaquants à les industrialiser.

Ce que les chercheurs ont démontré

Les démonstrations les plus préoccupantes ne sont pas restées théoriques. Wiz affirme avoir combiné les vulnérabilités dans un script d’exploitation nommé php2shell et démontré une exécution de code à distance sans authentification contre des déploiements conteneurisés standard de WordPress, Drupal et Joomla, utilisés comme cibles représentatives [3]. Wiz précise aussi que le problème se situe dans PHP lui-même, et non dans une erreur propre à ces CMS [3].

L’impact ne se limite pas à l’obtention d’un shell. Wiz indique qu’un attaquant peut aussi exposer des données sensibles présentes dans la mémoire d’un worker PHP, comme des mots de passe, jetons ou clés d’API, sans nécessairement atteindre une exécution complète de code à distance [3]. Pour les équipes de réponse à incident, c’est une zone grise redoutable: un serveur peut ne pas afficher de signe évident de compromission, tout en ayant déjà laissé fuiter des secrets.

Cloudflare donne une explication plus générale: l’une des failles concerne une interruption de PHP pendant que des données internes de requête ne sont que partiellement initialisées, tandis que l’autre concerne un état interne de requête qui survit après la libération de la mémoire sous-jacente [4]. C’est suffisant pour comprendre l’urgence défensive, sans publier un mode d’emploi opérationnel pour attaquants.

Une course au correctif devenue publique

La divulgation coordonnée ne s’est pas déroulée dans le calme. L’annonce PHP est arrivée à 14 h 10 UTC le 21 octobre, en demandant aux utilisateurs de PHP 8.5 de mettre à jour immédiatement et en indiquant qu’aucune mitigation complète n’existe en dehors de la mise à jour [1]. Tenable rapporte que l’équipe de sécurité PHP avait publié un préavis le 20 octobre pour une sortie de sécurité prévue le 21 octobre, après la circulation publique d’identifiants CVE et de discussions sur la faille [6].

Cloudflare indique avoir développé des protections WAF dès le début d’octobre et les avoir activées par défaut pour ses clients gratuits et payants à partir de 03 h 02 UTC le 21 octobre, avant la divulgation publique [4]. Cette préparation montre à quel point les fournisseurs d’infrastructure ont pris l’affaire au sérieux: lorsque le composant vulnérable est PHP lui-même, la protection doit être coordonnée sur plusieurs couches, des paquets système aux hébergeurs en passant par les pare-feux applicatifs en périphérie.

AWS a ensuite apporté un élément encore plus inconfortable. Amazon Threat Intelligence affirme que son réseau de pots de miel MadPot a enregistré une tentative d’exploitation de PHP2Shell le 17 octobre, soit quatre jours avant la divulgation publique de CVE-2026-109618 et CVE-2026-109619 [5]. AWS ajoute que des preuves de concept sont apparues le 21 octobre avant la levée de l’embargo, puis que de nouvelles tentatives provenant d’infrastructures anonymisées ont été observées, avec une exploitation large après la publication des correctifs [5].

Cela change l’horloge de réponse. Si des tentatives ont commencé avant la divulgation officielle, il ne suffit pas de corriger puis de passer à autre chose. Il faut aussi enquêter dans les journaux et accepter que la phase de reconnaissance puisse avoir précédé l’avis public.

Pourquoi des sites se sont éteints volontairement

L’effet visible le plus frappant n’a pas été une vague de défacements, mais une série d’extinctions préventives. UptimeRobot rapporte que des gouvernements, hôpitaux, médias et hébergeurs ont volontairement mis des sites hors ligne le 21 octobre en attendant le correctif, avec des exemples touchant des services publics néerlandais, des sites de préfectures françaises et des médias [7].

Les données de surveillance expliquent pourquoi l’incident a paru mondial. UptimeRobot indique que les alertes d’indisponibilité ont été environ onze fois supérieures à une journée normale au pic du 21 octobre, avec une Europe particulièrement touchée; depuis les points de surveillance européens, les alertes ont augmenté d’environ vingt fois, et plusieurs domaines nationaux européens ont connu une forte hausse de sites injoignables [7]. Cela ne signifie pas que tous ces sites avaient été compromis. Cela signifie que des opérateurs ont jugé la fenêtre entre divulgation et correction assez dangereuse pour accepter une interruption.

Face à une faille située au niveau du runtime, ce choix peut être rationnel. Si la couche applicative ne peut pas se protéger complètement et si le correctif arrive dans quelques minutes ou heures, couper temporairement les services PHP exposés peut être moins coûteux que les laisser en ligne pendant que les exploits mutent.

Ce qu’il faut retenir maintenant

La réponse immédiate est simple et urgente: mettre PHP à jour, redémarrer les workers et vérifier que les hébergeurs ont bien corrigé les environnements managés. PHP affirme que la mise à jour est le seul choix sûr pour les branches prises en charge publiées le 21 octobre [1]. Cloudflare rappelle aussi que modifier le code du site ou ses plugins ne suffit pas, car les failles résident dans le runtime PHP [4].

La deuxième réponse relève de l’investigation. AWS recommande de remonter au moins jusqu’au 17 octobre, de rechercher des requêtes POST suspectes contenant PHP_SESSION_UPLOAD_PROGRESS, d’examiner les journaux web et de vérifier toute exécution de processus ou modification de fichier inattendue sur les serveurs applicatifs [5]. Wiz recommande de surveiller les requêtes multipart inhabituelles suivies d’erreurs de limite mémoire ou de HTTP 500 répétés, les cookies PHPSESSID anormalement grands ou malformés, et les redémarrages inexpliqués de workers PHP [3].

La conclusion stratégique est plus dérangeante. L’IA n’a pas créé PHP2Shell, mais elle a rendu lisible une faiblesse longtemps enfouie. Elle a aidé les chercheurs à la découvrir et à la valider, tout en abaissant la barrière pour que des adversaires adaptent des chaînes similaires dès que des correctifs, des différences de code ou des détails partiels deviennent visibles. Internet n’a pas cédé, mais son ossature vient de recevoir un rappel brutal: les vieux chemins de code, les gestions d’erreur obscures et les vulnérabilités jugées “trop difficiles à exploiter” sont précisément le terrain de chasse préféré des IA modernes.

Avant que Skynet ne se réveille, l’épine dorsale du Web n’a pas seulement besoin d’une session de débogage. Elle a besoin de correctifs plus rapides, d’un investissement réel dans la sûreté mémoire et de défenseurs capables d’utiliser la même accélération par l’IA que les attaquants.

Sources des dernières 72 heures

1. [1]php.announce: [ANNOUNCE] PHP 8.5.12 Released21 oct. 2026, 16:10
2. [2]Patch the Planet: global response coordination as agents uncover critical vulnerabilities21 oct. 2026, 02:00
3. [3]PHP2Shell: AI uncovers critical RCE vulnerabilities affecting 70% of the Internet21 oct. 2026, 02:00
4. [4]Cloudflare deploys protections against php2shell vulnerability21 oct. 2026, 02:00
5. [5]php2shell (CVE-2026-109618, CVE-2026-109619): Critical PHP RCE FAQ21 oct. 2026, 02:00
6. [6]Inside PHP2Shell: Why Websites Took Themselves Offline22 oct. 2026, 02:00
7. [7]Amazon Threat Intelligence identifies PHP2Shell exploitation prior to public disclosure in MadPot21 oct. 2026, 02:00

Article généré par IA à partir d’une recherche web récente, puis conservé comme instantané éditorial daté.